Ein fachlicher Datensatz je Person
Neben dem Konto im Identity Provider führt CIAS für jede Person einen eigenen Benutzerdatensatz: E-Mail-Adresse, Anzeigename, Status und Heimatmandant. Passwort und zweiter Faktor bleiben dort, wo sie hingehören – im Identity Provider. CIAS sieht sie nie.
Die E-Mail-Adresse ist das Konto. Zu einer Adresse gibt es genau ein Konto, das Mitglied in beliebig vielen Mandanten sein kann. Weil die fachlichen Angaben in CIAS liegen, bedeutet ein Wechsel des Identity Providers keine Migration Ihrer Benutzerdaten.
Vier Zustände statt „an“ oder „aus“
Ein Identity Provider unterscheidet meist nur aktivierte und deaktivierte Konten. CIAS unterscheidet vier Zustände, weil „gesperrt“ und „geschlossen“ fachlich Verschiedenes bedeuten:
- Ausstehend – die Person ist angelegt, aber noch nicht freigeschaltet.
- Aktiv – nur in diesem Zustand kann sie sich anmelden.
- Gesperrt – vorübergehend, jederzeit umkehrbar; Rollen und Gruppen bleiben erhalten.
- Geschlossen – endgültig. Das Konto wird deaktiviert, gelöscht wird nichts, die Historie bleibt.
Klare Zuständigkeiten in der Verwaltung
Sperren, Schließen, Umbenennen und der Wechsel des Heimatmandanten sind Plattform-Administratoren vorbehalten. Für Sperren und Schließen ist ein Grund Pflicht; er landet im Audit. Mandanten-Administratoren laden neue Personen in ihren eigenen Mandanten ein, verwalten bestehende Konten aber nicht.
Konten, die schon vor CIAS im Identity Provider existierten, übernimmt CIAS als Benutzer. Die Übernahme ergänzt nur und lässt bekannte Konten unverändert – sie lässt sich daher beliebig oft wiederholen.
Gruppen bündeln Rollen
Statt jeder neuen Kollegin im Support zehn Rollen einzeln zu geben, legen Sie einmal eine Gruppe an und nehmen sie als Mitglied auf. Eine Gruppe trägt Rollen mehrerer Module zugleich und gilt plattformweit. Mitglied zu sein heißt, die Rollen zu bekommen – nicht, die Daten anderer Mitglieder zu sehen. Welche Daten jemand sieht, entscheidet der Mandant.
Eine Gruppe kann Standardgruppe sein: Jedes neue Konto wird automatisch Mitglied. Das wirkt bewusst nur nach vorn. Ein einzelnes Häkchen ändert nicht auf einen Schlag die Rechte aller bestehenden Personen. Gruppen und ihre Mitglieder verwalten ausschließlich Plattform-Administratoren.
Im Fehlerfall weniger Rechte, nie mehr
Gruppen und Rollen liegen in CIAS und als Kopie im Identity Provider. CIAS schreibt in fester Reihenfolge: Beim Entziehen zuerst im Identity Provider, beim Gewähren zuletzt. Fällt dazwischen etwas aus, hat die Person weniger Rechte, nie mehr. Ein Abgleich beim Start oder auf Anforderung bringt die Kopie wieder auf den Stand – und entfernt dabei auch, was jemand an CIAS vorbei an einer verwalteten Gruppe geändert hat.